← España

PS-00162-2021

1/20  Expediente Nº: PS/00162/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha de 21 de abril de 2020, la Directora de la Agencia Española de Protección de Datos acuerda iniciar actuaciones de investigación en relación a la realización de una encuesta sociológica mediante llamadas telefónicas y su posible grabación de la que es responsable el Centro de Investigaciones Sociológicas (CIS), por si de tales hechos se desprendieran indicios de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos, requiriendo información sobre el ESTUDIO CIS Nº 3279. BAROMETRO ESPECIAL DE ABRIL 2020, teniendo conocimiento de los siguientes extremos: El CIS manifiesta que sus funciones vienen atribuidas por la Ley 39/1995, de 19 de diciembre, de Organización del Centro de Investigaciones Sociológicas, y el Real Decreto 1214/1997, de 18 de julio, sobre organización del Centro de Investigaciones Sociológicas. El artículo 3 de la Ley 39/1995 dispone que “Son funciones del Centro de Investigaciones Sociológicas: (…)

  1. c)la realización de estudios que proporcionen diagnósticos sobre situaciones y asuntos sociales y sirvan de orientación a los poderes públicos en sus iniciativas normativas y ejecutivas.” La misma función le atribuye el artículo 3.
  2. c)del Real Decreto 1214/1997. Por su parte, el Barómetro de opinión es una operación estadística incluida en el Programa anual del Plan Estadístico Nacional 2017-2020, aprobado por el Real Decreto 308/2020, de 11 de febrero, con el número de operación estadística 7927. Establece dicha norma en lo que respecta a dicha operación: “7927 Barómetros de opinión Organismos que intervienen MPCM. Trabajos que se van a ejecutar en el año 2020: Dirección y coordinación. Diseño y elaboración del cuestionario y la muestra. Recogida de datos con una periodicidad mensual (excepto en agosto) generalmente en la primera quincena del mes. Codificación, grabación, tabulación y validación. Difusión de los resultados preliminares alrededor de 15 días después de finalizar la grabación de los datos en soporte electrónico, cuando se trate de barómetros con indicadores políticos, de acuerdo con lo establecido en la Ley 39/1995, de 19 de diciembre, de Organización del Centro de Investigaciones sociológicas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/20 Incorporación de los resultados detallados en la documentación técnica y los fichajes de microdatos en el Banco de Datos del Centro de Investigaciones Sociológicas para su difusión en un plazo máximo de tres meses después de finalizada la grabación de la información en soporte electrónico.” El CIS expone en relación con los requerimientos de información de Inspección lo siguiente: “Como consecuencia de la situación de pandemia derivada de la COVID-19, el Centro de Investigaciones Sociológicas (en adelante, CIS), se ha visto afectado en la forma de realización de sus encuestas. Durante el estado de alarma, pero también en general durante todo el tiempo que se extienda la situación de crisis sanitaria, el CIS no puede seguir realizando sus encuestas de forma presencial, tanto por seguridad de los encuestadores como por seguridad de los encuestados, así como, por las propias limitaciones de movilidad y distanciamiento social impuestas. Como consecuencia de todo ello, el CIS ha encontrado en las entrevistas telefónicas la única solución, tanto a nivel logístico como a nivel de calidad sociológica. Este tipo de encuestas, plenamente reconocidas en la normativa, requieren de una serie de elementos, entre ellos los números de teléfono de los individuos a encuestar. En algunos casos, esos números se pueden generar aleatoriamente, en otros casos se deben obtener organizados por provincia de forma anónima. Añade que al no poder contar con los medios técnicos necesarios para llevarlos a cabo y no poder hacer por sí mismo las encuestas y ante la urgencia de la obtención de estudios sociológicos sobre la pandemia y las medidas adoptadas, fundamentalmente por solicitud de la Autoridad delegada del estado de alarma, el Ministro de Sanidad, el CIS optó por externalizar la realización de sus encuestas.” El CIS declara que en el marco del contrato objeto de estudio, no se cedió a la empresa que llevó a cabo el estudio ningún dato personal, ni la misma cedió al CIS ningún dato personal recabado. El objeto del contrato fue la realización de un estudio de forma telefónica. Para ello, dicha empresa dispuso de sus medios técnicos y generó números de teléfono de forma aleatoria, y una vez realizada la encuesta comunicó al CIS los resultados del estudio ya anonimizados, no entregó ningún dato de carácter personal. Por todo ello, el CIS consideró que no había una operación de tratamiento de datos, ya que ni cedía ni recibía datos de carácter personal. Señala que se indicó a la empresa que debía aplicar lo siguiente: , - “En el caso de que el personal, por cuenta del adjudicatario, que en el desarrollo de la realización de su actividad en la entidad gestora del contrato fuera conocedor de información relativa a actividades de tratamiento que la entidad gestora del contrato realiza en el desarrollo de su actividad, deberá seguir en cada momento las indicaciones que así se le indicaran, mostrando la debida reserva sobre la información de la que fuera conocedor y deberá mantener deber de secreto respecto a la misma”. - “Igualmente, se somete a la normativa nacional y de la Unión Europea en materia de protección de datos”. Respecto a las instrucciones dadas al encargado del tratamiento, ha manifestado que no ha determinado los fines o los medios del tratamiento de datos personales, sino C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/20 únicamente de los resultados estadísticos anonimizados que encargó a la aludida empresa obtener mediante el estudio de investigación. El CIS estableció el número de personas a entrevistar (no a quién concretamente) y el diseño muestral basado en perfiles sociodemográficos que deben cumplir las personas a entrevistar. Las condiciones técnicas establecidas para la encuesta telefónica fueron las siguientes: a. Ámbito: Nacional. b. Universo: Población española y mayor de 18 años. Fecha de campo: Finales de marzo / principios de abril a. Metodología: Entrevista telefónica mediante Sistema CATI (entrega al CIS del fichero anonimizado ASCII o SPSS). b. BBDD: Teléfonos fijos en hogares y teléfonos móviles con registros generados aleatoriamente. Se realizará aproximadamente un 50/50% en teléfonos fijos/móviles. c. Muestra: 3.000 encuestas. d. Distribución muestral: Proporcional a la población de cada Comunidad Autónoma y tamaño de población. Los estratos se formaron por el cruce de las 17 comunidades autónomas, con el tamaño de hábitat, dividido en 7 categorías: menor o igual a 2.000 habitantes; de 2.001 a 10.000; de 10.001 a 50.000; de 50.001 a 100.000; de 100.001 a 400.000; de 400.001 a 1.000.000, y más de 1.000.000 de habitantes. La selección de municipios será totalmente aleatoria guardando los parámetros de distribución muestral mencionada. e. Cuotas: Se cubrirán cuotas de sexo cruzado con 6 tramos de edad. f. Cuestionario: El cuestionario tendrá una duración de 15 minutos con preguntas cerradas. En algunas de ellas se contempla la opción de “Otras respuestas” en abierto. En lo que concierne al trabajo efectuado por la empresa contratada, según la información aportada es la siguiente: El sistema utilizado almacena temporalmente los siguientes datos de cada llamada (entrevista): los datos personales de identificación (nº de teléfono y nombre de pila del entrevistado), los datos sociodemográficos (código postal, edad y sexo del entrevistado), los datos de investigación (las respuestas de las preguntas planteadas) y el audio generado. El CIS manifiesta que “Los datos personales de carácter identificativo tratados (hasta su anonimización) han sido el número de teléfono (una vez que una persona ha respondido al teléfono y ha aceptado participar en la encuesta) y el nombre de pila (sin apellidos) de la persona que responda las preguntas formuladas durante la encuesta. El objeto de tratar el dato de nombre de pila es exclusivamente para favorecer un trato cordial y confortable entre el entrevistador y el entrevistado. ***EMPRESA.1 desconoce si dicho nombre de pila es real y si se corresponde realmente al titular de la línea de teléfono a la que se está llamando. Con objeto de realizar el control de calidad en el proceso de recogida de información en el trabajo de campo, se aplican los métodos de validación de la información prescritos en el artículo B.7.2.3 del Anexo B de la norma UNE-ISO 20252:2019 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/20 Investigación de mercado, social y de opinión, incluidos Insights y analítica de datos – Vocabulario y requisitos del servicio. Este método de validación consiste en la monitorización de las entrevistas mediante la escucha remota que permita la validación en tiempo real o la grabación en audio que posibilite la validación con posterioridad a la realización de una entrevista. Esta validación persigue comprobar que las entrevistas efectivamente se han realizado, que las respuestas que facilita la persona entrevistada responden al perfil sociodemográfico requerido, que el entrevistador formula las preguntas de forma correcta conforme a las instrucciones metodológicas del estudio de investigación y que el entrevistador registra las respuestas correctamente (veracidad e integridad). Una vez finalizado el trabajo de campo (en la recogida de la información mediante las entrevistas telefónicas), a la información obtenida se le aplica un proceso de anonimización mediante el cual se eliminan los números de teléfono en los que se realizaron las entrevistas. Se trata de un proceso de borrado absoluto y no de disociación, ya que una vez borrados los números de teléfono resulta imposible identificar a las personas que respondieron, ni asociar sus respuestas a ninguna información que les identifique individualmente. A partir de este punto, la empresa contratada sólo trata datos anónimos para la realización de los análisis estadísticos y la elaboración de tablas de resultados. Así, al CIS sólo se le facilitan datos estadísticos agregados sin ninguna información que permita identificar individualmente a las personas que respondieron a la encuesta. Las grabaciones se conservan únicamente durante el tiempo imprescindible para realizar la validación explicada anteriormente y hasta que se entregan los resultados al CIS. La finalidad de conservar las grabaciones es permitir que, en caso de que dicha empresa o el CIS detecte alguna incidencia o error en los resultados, se pueda contrastar la información obtenida con su fuente (las entrevistas). El plazo de conservación de los datos personales (número de teléfono y grabación en audio de la entrevista) responde a los criterios establecidos en el Código de Conducta CODIM (Código de Conducta para el tratamiento de datos de carácter personal por organizaciones de Investigación de Mercados, aprobado por Resolución de la Directora de la Agencia Española de Protección de Datos con número de expediente CT/0005/2017 y al que dicha empresa está adherido), que establece con periodo máximo de 6 meses.” A este respecto señala que, en el caso concreto de este estudio, la aludida empresa procedió a su supresión después de que se publicaran los resultados el 15 de abril de 2020. En lo que respecta al guion utilizado por la empresa en las llamadas es el siguiente: “INFORMACIÓN SUJETA A SECRETO ESTADÍSTICO (Ley 12/89, de 9 de mayo, de la Función Estadística Pública) Encuesta incluida en el Plan Estadístico Nacional 2017-2020 aprobado por el Real Decreto 410/2016, de 31 de octubre. Buenos días/tardes. Soy------------ de (nombre de la empresa). Estamos realizando una encuesta para el Centro de Investigaciones Sociológicas sobre temas de interés general, por teletrabajo. Por este motivo solicitamos su colaboración y se la agradecemos anticipadamente. Este teléfono ha sido seleccionado al azar mediante métodos aleatorios. Le garantizamos el absoluto anonimato y secreto de sus respuestas en el más estricto cumplimiento de las leyes sobre secreto estadístico y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/20 protección de datos personales.” El guion utilizado en las encuestas e incluido en el cuestionario publicado, fue elaborado por la empresa contratada a partir del modelo utilizado por el CIS en sus encuestas presenciales, para adaptarlo a su forma de realización de las encuestas telefónicas. El CIS declara que la contratación del estudio se ha realizado por procedimiento de emergencia, conforme a lo previsto en el artículo 120 de la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público. En el marco de esta modalidad de tramitación, el artículo 37.1 de la Ley 9/2017, de 8 de noviembre, establece que se puede llevar a cabo una contratación no sujeta al carácter formal habitual de los contratos públicos, pudiendo incluso hacerse una contratación verbal.” Es por ello por lo que el CIS entendió que no era necesario formalizar ningún aspecto, así no sólo no se formalizó lo relativo a la normativa de protección de datos, sino que tampoco se llevó a cabo formalización de ningún otro tipo, más allá de solicitar cuatro ofertas para elegir la más ventajosa. Al no haberse llevado a cabo la tramitación formal propia de los contratos en tramitación ordinaria, el CIS no elaboró previamente a la ejecución los anexos habituales, y por ello, tampoco el de protección de datos. Alude, en este sentido, a lo previsto en el Real Decreto-ley 7/2020, de 12 de marzo, por el que se adoptan medidas urgentes para responder al impacto económico del COVID-19, que, en su artículo 16, establece lo siguiente: “1. La adopción de cualquier tipo de medida directa o indirecta por parte de las entidades del sector público para hacer frente al COVID-19 justificará la necesidad de actuar de manera inmediata, siendo de aplicación el artículo 120 de la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público, por la que se transponen al ordenamiento jurídico español las Directivas del Parlamento Europeo y del Consejo 2014/23/UE y 2014/24/UE, de 26 de febrero de 2014. 2. De acuerdo con la previsión establecida en el párrafo anterior, a todos los contratos que hayan de celebrarse por las entidades del sector público para atender las necesidades derivadas de la protección de las personas y otras medidas adoptadas por el Consejo de Ministros para hacer frente al COVID-19, les resultará de aplicación la tramitación de emergencia.” El CIS señala que, de las propuestas recibidas, cuya copia aporta, se seleccionó la de la empresa ***EMPRESA.1 por ser la más ventajosa para realizar el trabajo de campo del “Barómetro especial abril 2020: coronavirus COVID-19” a través de encuesta telefónica CATI. Las razones estimadas para la adjudicación fueron su menor precio y mejor plazo de entrega del fichero de datos (más pronto), en las mismas condiciones técnicas. Además, se valoró la adhesión de la empresa ***EMPRESA.1 al Código de Conducta para el tratamiento de datos de carácter personal por organizaciones de Investigación de Mercado, Social, de la Opinión y del Análisis de Datos, aprobado por el Comité de Supervisión y Seguimiento del CODIM, Código tipo inscrito en la Agencia Española de Protección de Datos. Se aporta certificado de adhesión de la citada empresa a dicho código tipo. En la fecha del 20 de mayo de 2020, en la Plataforma de Contratación del Sector Público aparece el Anuncio de formalización de contrato con número de expediente 2020/16 cuya entidad adjudicadora es la Presidencia del Centro de Investigaciones Sociológicas y cuyo Objeto es “Barómetros especiales sobre las medidas adoptadas respecto al COVID19”. De este anuncio se desprende, entre otra, la siguiente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/20 información: Que el contrato para la realización de servicios de encuestas de opinión pública para la licitación de barómetros especiales sobre las medidas adoptadas respecto al COVID19 fue adjudicado a ***EMPRESA.1. La fecha de acuerdo de adjudicación es la de 8 de mayo de 2020 y la fecha de formalización del contrato el 11 de mayo de 2020. El CIS ha aportado el documento administrativo de formalización del contrato de “Barómetros especiales sobre las medidas adoptadas respecto al COVID-19”. En dicho documento no figuran las estipulaciones exigidas por el artículo 28.3 del RGPD. TERCERO: Con fecha 16 de abril de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al CIS, por la presunta infracción del Artículo 28 del RGPD, tipificada en el Artículo 83.4.
  3. a)del RGPD, declarando que la sanción que pudiera corresponder sería de apercibimiento, sin perjuicio del resultado de la instrucción. CUARTO: Notificado el citado acuerdo de inicio, el CIS presentó el 30 de abril de 2021 escrito de alegaciones en el que solicita el archivo del procedimiento sancionador, basando su petición en las alegaciones que resumidamente se exponen a continuación: El 14 de marzo de 2020 en España se declara el Estado de alarma a través del Real Decreto 463/2020, de 14 de marzo, por el que se declara el estado de alarma para la gestión de la situación de crisis sanitaria ocasionada por el COVID-19, a causa de una «una crisis sanitaria sin precedentes y de enorme magnitud». Debido a ello y con carácter de urgencia, al objeto de cumplir con las obligaciones del Centro de Investigaciones Sociológicas (en adelante CIS) recogidas en la Ley 39/1995, de 19 de diciembre, de organización del CIS y en el Real Decreto 1214/1997, de 18 de julio relativa a la realización de encuestas periódicas que permitan el conocimiento de la opinión pública española, este se ve obligado a suspender radicalmente, tanto por seguridad de los encuestadores como por seguridad de los encuestados la realización de encuestas de forma presencial teniendo que realizarlas durante esta situación excepcional de forma telefónica. De este modo, ante la urgencia por el cumplimiento de los deberes que le han sido asignados por la legislación anteriormente citada, el CIS optó por externalizar de forma excepcional el Barómetro Mensual de abril. Además, en este contexto, el Ministro de Sanidad, autoridad delegada del Estado de alarma, remitió una carta al CIS solicitando la realización de estudios para poder disponer, a la mayor brevedad posible, de la información sociológica pertinente. Acogiéndose a los procedimientos excepcionales que le permitía el marco jurídico, la tramitación del contrato se llevó a cabo a través del artículo 120 de la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público, por la que se transponen al ordenamiento jurídico español las Directivas del Parlamento Europeo y del Consejo 2014/23/UE y 2014/24/UE, de 26 de febrero de 2014 y de acuerdo con el artículo 37.1 de la misma Ley, el cual establece que se puede llevar a cabo una contratación no sujeta al carácter formal habitual de los contratos públicos, pudiendo incluso hacerse una contratación verbal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/20 De la misma forma, el Real Decreto-ley 7/2020, de 12 de marzo, por el que se adoptan medidas urgentes para responder al impacto económico del COVID-19, señaló la posible aplicación de la tramitación de emergencia a aquellos casos en los que se tomaran medidas relacionadas directa o indirectamente con la pandemia. De este modo, en el marco estrictamente legal y en una situación extremadamente complicada para España, el CIS solicito cuatro ofertas de urgencia para elegir la más ventajosa y realizó el contrato de urgencia sin todas las formalizaciones requeridas en períodos de normalidad y cuyos trámites, como es bien sabido, se prolongan durante bastantes más días de los que en esos momentos se disponía. La empresa adjudicataria ofrecía todas las garantías de calidad y especialmente, de protección de datos de carácter personal, ya que esta empresa cumple con el Código de Conducta CODIM (Código de Conducta para el tratamiento de datos de carácter personal por organizaciones de Investigación de Mercado, Social, de la Opinión y de Análisis de Datos) aprobado por Resolución de la Directora de la Agencia Española de Protección de Datos con número de expediente CT/0005/2017). Este hecho es especialmente relevante, ya que, al ser un Código visado por la Agencia Española de Protección de Datos, cualquier Administración debe dar por sentado que la empresa correspondiente es cumplidora en el ámbito de la protección de datos. Lo cual se demuestra por el hecho de que no se haya producido vulneración alguna de protección de datos en la ejecución del contrato. El CIS entendía que, en esta situación excepcional, al no tener obligación ni siquiera de formalizar un contrato por escrito, no tenía la obligación de introducir las cláusulas de protección de datos que habitualmente figuran en todos Pliegos de cláusulas administrativas (PCAP), ya que ni siquiera se elaboran tales pliegos. De haberse llevado a cabo una tramitación habitual, se hubiera elaborado dicho Pliego, y se hubieran incluido las cláusulas pertinentes, ya que en los documentos de formalización no es habitual incluir dichas cláusulas. Por todo lo señalado, el presunto incumplimiento que alega la Agencia no es un incumplimiento de contenido material, como demuestra la suscripción por parte de la adjudicataria del Código de Conducta CODIM, sino que sería, en su caso y en otras condiciones, un defecto de carácter formal. En este sentido, se considera que no procede hablar de la existencia de un defecto de carácter formal, que puede dar lugar a un apercibimiento, cuando se hace una tramitación de emergencia que no exige formalización alguna, y que, por tanto, no exige pliegos. Este planteamiento, de facto, podría suponer el eventual apercibimiento a todos aquellos departamentos u organismos que tramitaron contratos de emergencia en aquel período de tiempo, ya que ninguno de ellos elaboró pliegos, habiéndolo hecho incluso, algunos de ellos, de forma verbal. La exigencia de esta formalización resulta totalmente contraria al espíritu de una norma que permite contratar incluso verbalmente. Consecuentemente, si se considerara que no existe esta obligación en los contratos de emergencia, como sostiene el CIS, no procedería apercibimiento alguno. La existencia de una eventual obligación de formalizar una cláusula de protección de datos en un contrato de emergencia, que no exige formalización, es un criterio de carácter interpretable y, por ello, a lo único que debería dar lugar, en su caso, es a una Resolución o normativa al respecto por parte de esa Agencia, aplicable a todos por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/20 igual, y no un apercibimiento a un centro directivo específico cuando este criterio de actuación ha sido el generalizado. QUINTO: Con fecha 11/03/2021, se emitió propuesta de resolución en el sentido siguiente: “Que por la Directora de la Agencia Española de Protección de Datos se sancione con apercibimiento a CENTRO DE INVESTIGACIONES SOCIOLÓGICAS, con NIF Q2802464D, por una infracción del Artículo 28 del RGPD, tipificada en el Artículo 83.4 del RGPD.“ SEXTO: Notificado el citado acuerdo de inicio, la entidad investigada presentó escrito de alegaciones el 12/11/2021 en el que solicita se valore la retirada de la sanción propuesta, basando su petición en las consideraciones que a continuación se exponen resumidamente: PRIMERO. - El CIS no incurrió en ninguna violación de la custodia de los de datos personales, adoptando todas las garantías reales y eficaces. Únicamente no incluyó la cláusula en el contrato, lo que podría considerarse un error de forma. Además no se vieron vulnerados los derechos de los ciudadanos puesto que se adoptaron medidas específicas como la elección de la empresa adjudicataria, adscrita al Código de Conducta CODIM (Código de Conducta para el tratamiento de datos de carácter personal por organizaciones de Investigación de Mercado, Social, de la Opinión y de Análisis de Datos) certificado por la propia Agencia Española de Protección de Datos, lo que aportaba garantías y seguridad sobre el cumplimiento estricto de la normativa de protección de datos de carácter personal, que es precisamente la finalidad de todas las obligaciones formales que recoge la normativa. SEGUNDO. - El Centro de Investigaciones Sociológicas tiene todas sus actuaciones adaptadas a la normativa de protección de datos y mantiene actualizadas todas sus actividades de tratamiento en el Registro de Actividades de Tratamiento, así como los correspondientes análisis de riesgos, tal y como determina el RGPD y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. En este sentido el CIS hace un esfuerzo permanente y en proceso de mejora continua para cumplir con lo dispuesto en la normativa de protección de datos y en las instrucciones que indica la Agencia Española de Protección de Datos estando en permanente comunicación con la Delegada de Protección de Datos del Ministerio de Presidencia, Relaciones con las Cortes y Memoria Democrática. TERCERO. – El CIS ha adoptado medidas específicas para verificar la inclusión de las cláusulas de protección de datos en todos sus contratos. Se adjunta como ejemplo los anexos que se incluyeron en contratos, de naturaleza similar al que es el objeto de este escrito, ejecutados con la empresa ***EMPRESA.2 para la realización de 4 estudios: 2 barómetros y dos estudios sobre índice de confianza del consumidor. Aporta copia de un anexo de fecha 20 de mayo de 2021 en el que se contienen estipulaciones relativas al encargo de tratamiento. HECHOS PROBADOS PRIMERO: Consta que en el expediente que el Barómetro de opinión es una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/20 operación estadística incluida en el Programa anual del Plan Estadístico Nacional 2017-2020, aprobado por el Real Decreto 308/2020, de 11 de febrero, con el número de operación estadística 7927, con el siguiente contenido: “7927 Barómetros de opinión Organismos que intervienen MPCM. Trabajos que se van a ejecutar en el año 2020: Dirección y coordinación. Diseño y elaboración del cuestionario y la muestra. Recogida de datos con una periodicidad mensual (excepto en agosto) generalmente en la primera quincena del mes. Codificación, grabación, tabulación y validación. Difusión de los resultados preliminares alrededor de 15 días después de finalizar la grabación de los datos en soporte electrónico, cuando se trate de barómetros con indicadores políticos, de acuerdo con lo establecido en la Ley 39/1995, de 19 de diciembre, de Organización del Centro de Investigaciones sociológicas. Incorporación de los resultados detallados en la documentación técnica y los fichajes de microdatos en el Banco de Datos del Centro de Investigaciones Sociológicas para su difusión en un plazo máximo de tres meses después de finalizada la grabación de la información en soporte electrónico.” SEGUNDO: El CIS ha informado de que, para la realización del barómetro especial de opinión abril 2020, procedió a externalizar la realización de las encuestas debido a la situación de pandemia y a no poder contar con los medios técnicos necesarios para llevarla de forma telefónica. La contratación se llevó a cabo por el procedimiento de emergencia conforme a lo previsto en la Ley 9/2017, solicitando cuatro ofertas para elegir la más ventajosa. El CIS manifiesta que, de las propuestas recibidas, cuya copia aporta, se seleccionó la de la empresa ***EMPRESA.1 por ser la más ventajosa para realizar el trabajo de campo del “Barómetro especial abril 2020: coronavirus COVID-19” a través de encuesta telefónica CATI. Las razones estimadas para la adjudicación fueron su menor precio y mejor plazo de entrega del fichero de datos (más pronto), en las mismas condiciones técnicas. Además, se valoró la adhesión de la empresa ***EMPRESA.1 al Código de Conducta para el tratamiento de datos de carácter personal por organizaciones de Investigación de Mercado, Social, de la Opinión y del Análisis de Datos, aprobado por el Comité de Supervisión y Seguimiento del CODIM, Código tipo inscrito en la Agencia Española de Protección de Datos. Se aporta certificado de adhesión de la citada empresa a dicho código tipo. TERCERO: Las condiciones técnicas establecidas por el CIS para la encuesta telefónica fueron las siguientes: a. Ámbito: Nacional. b. Universo: Población española y mayor de 18 años. Fecha de campo: Finales de marzo / principios de abril a. Metodología: Entrevista telefónica mediante Sistema CATI (entrega al CIS del fichero anonimizado ASCII o SPSS). b. BBDD: Teléfonos fijos en hogares y teléfonos móviles con registros generados aleatoriamente. Se realizará aproximadamente un 50/50% en teléfonos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/20 fijos/móviles. c. Muestra: 3.000 encuestas. d. Distribución muestral: Proporcional a la población de cada Comunidad Autónoma y tamaño de población. Los estratos se formaron por el cruce de las 17 comunidades autónomas, con el tamaño de hábitat, dividido en 7 categorías: menor o igual a 2.000 habitantes; de 2.001 a 10.000; de 10.001 a 50.000; de 50.001 a 100.000; de 100.001 a 400.000; de 400.001 a 1.000.000, y más de 1.000.000 de habitantes. La selección de municipios será totalmente aleatoria guardando los parámetros de distribución muestral mencionada. e. Cuotas: Se cubrirán cuotas de sexo cruzado con 6 tramos de edad. f. Cuestionario: El cuestionario tendrá una duración de 15 minutos con preguntas cerradas. En algunas de ellas se contempla la opción de “Otras respuestas” en abierto. CUARTO: Consta que en fecha del 20 de mayo de 2020, aparece, en la Plataforma de Contratación del Sector Público, el anuncio de formalización de contrato con número de expediente 2020/16 siendo la entidad adjudicadora la Presidencia del Centro de Investigaciones Sociológicas y su objeto “Barómetros especiales sobre las medidas adoptadas respecto al COVID19” y el adjudicatario ***EMPRESA.1 en dicho anuncio figura como fecha de adjudicación el 8 de mayo de 2020 y como fecha de formalización del contrato el 11 de mayo de 2020. Consta en el expediente el documento administrativo de formalización del contrato de “Barómetros especiales sobre las medidas adoptadas respecto al COVID-19”. En dicho documento no figuran las estipulaciones exigidas por el artículo 28.3 del RGPD. QUINTO: En lo que concierne al trabajo efectuado por la empresa contratada, según la información aportada es la siguiente: El sistema utilizado almacena temporalmente los siguientes datos de cada llamada (entrevista): los datos personales de identificación (nº de teléfono y nombre de pila del entrevistado), los datos sociodemográficos (código postal, edad y sexo del entrevistado), los datos de investigación (las respuestas de las preguntas planteadas) y el audio generado. Con objeto de realizar el control de calidad en el proceso de recogida de información en el trabajo de campo, se aplican los métodos de validación de la información prescritos en el artículo B.7.2.3 del Anexo B de la norma UNE-ISO 20252:2019 Investigación de mercado, social y de opinión, incluidos Insights y analítica de datos – Vocabulario y requisitos del servicio. Este método de validación consiste en la monitorización de las entrevistas mediante la escucha remota que permita la validación en tiempo real o la grabación en audio que posibilite la validación con posterioridad a la realización de una entrevista. Esta validación persigue comprobar que las entrevistas efectivamente se han realizado, que las respuestas que facilita la persona entrevistada responden al perfil sociodemográfico requerido, que el entrevistador formula las preguntas de forma correcta conforme a las instrucciones metodológicas del estudio de investigación y que el entrevistador registra las respuestas correctamente (veracidad e integridad). Una vez finalizado el trabajo de campo (en la recogida de la información mediante las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/20 entrevistas telefónicas), a la información obtenida se le aplica un proceso de anonimización mediante el cual se eliminan los números de teléfono en los que se realizaron las entrevistas. Se trata de un proceso de borrado absoluto y no de disociación, ya que una vez borrados los números de teléfono resulta imposible identificar a las personas que respondieron, ni asociar sus respuestas a ninguna información que les identifique individualmente. A partir de este punto, la empresa contratada sólo trata datos anónimos para la realización de los análisis estadísticos y la elaboración de tablas de resultados. Así, al CIS sólo se le facilitan datos estadísticos agregados sin ninguna información que permita identificar individualmente a las personas que respondieron a la encuesta. Las grabaciones se conservan únicamente durante el tiempo imprescindible para realizar la validación explicada anteriormente y hasta que se entregan los resultados al CIS. La finalidad de conservar las grabaciones es permitir que, en caso de que dicha empresa o el CIS detecte alguna incidencia o error en los resultados, se pueda contrastar la información obtenida con su fuente (las entrevistas). El plazo de conservación de los datos personales (número de teléfono y grabación en audio de la entrevista) responde a los criterios establecidos en el Código de Conducta CODIM (Código de Conducta para el tratamiento de datos de carácter personal por organizaciones de Investigación de Mercados, aprobado por Resolución de la Directora de la Agencia Española de Protección de Datos con número de expediente CT/0005/2017 y al que dicha empresa está adherido), que establece con periodo máximo de 6 meses. El CIS ha manifestado que, en el caso concreto de este estudio, la aludida empresa procedió a su supresión después de que se publicaran los resultados el 15 de abril de 2020. En lo que respecta al guion utilizado por la empresa en las llamadas es el siguiente: “INFORMACIÓN SUJETA A SECRETO ESTADÍSTICO (Ley 12/89, de 9 de mayo, de la Función Estadística Pública) Encuesta incluida en el Plan Estadístico Nacional 2017-2020 aprobado por el Real Decreto 410/2016, de 31 de octubre. Buenos días/tardes. Soy------------ de (nombre de la empresa). Estamos realizando una encuesta para el Centro de Investigaciones Sociológicas sobre temas de interés general, por teletrabajo. Por este motivo solicitamos su colaboración y se la agradecemos anticipadamente. Este teléfono ha sido seleccionado al azar mediante métodos aleatorios. Le garantizamos el absoluto anonimato y secreto de sus respuestas en el más estricto cumplimiento de las leyes sobre secreto estadístico y protección de datos personales.” El CIS ha informado de que el guion utilizado en las encuestas e incluido en el cuestionario publicado, fue elaborado por la empresa contratada a partir del modelo utilizado por el CIS en sus encuestas presenciales, para adaptarlo a su forma de realización de las encuestas telefónicas. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/20 2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos, en adelante RGPD) y en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en lo sucesivo LOPDGDD). II El artículo 4 del RGP, bajo la rúbrica “Definiciones”, dispone lo siguiente: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En el presente supuesto, se trata la siguiente información relativa a personas identificadas o identificables: número de teléfono fijo o móvil, nombre de pila, voz, código postal, población, provincia, edad, sexo y respuestas a las preguntas planteadas, aunque posteriormente se lleve a cabo un proceso de anonimización. Dicho tratamiento, se realiza por una empresa contratada por el CIS para llevar a cabo las operaciones que el mismo no puede realizar por carecer, según expone, de medios técnicos y se lleva a cabo en nombre de dicha entidad tal y como consta en el guion aportado, en el cual se informa a los participantes en la encuesta de la siguiente forma “estamos realizando una encuesta para el Centro de Investigaciones Sociológicas”. El CIS, por otra parte, es la entidad legitimada para llevar a cabo dicho tratamiento, conforme a lo establecido en el artículo 6.1.
  4. e)del RGPD en relación con lo dispuesto en el artículo 25 de la LOPDGDD, el artículo 3 de su ley reguladora, según el cual “Son funciones del Centro de Investigaciones Sociológicas: (…)
  5. c)la realización de estudios que proporcionen diagnósticos sobre situaciones y asuntos sociales y sirvan de orientación a los poderes públicos en sus iniciativas normativas y ejecutivas” y el Real Decreto 308/2020, de 11 de febrero, que aprueba el Programa anual del Plan Estadístico Nacional 2017-2020. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/20 Asimismo, consta en el expediente que el CIS ha determinado, al menos, los siguientes aspectos: a. Ámbito: Nacional. b. Universo: Población española y mayor de 18 años. Fecha de campo: Finales de marzo / principios de abril a. Metodología: Entrevista telefónica mediante Sistema CATI (entrega al CIS del fichero anonimizado ASCII o SPSS). b. BBDD: Teléfonos fijos en hogares y teléfonos móviles con registros generados aleatoriamente. Se realizará aproximadamente un 50/50% en teléfonos fijos/móviles. c. Muestra: 3.000 encuestas. d. Distribución muestral: Proporcional a la población de cada Comunidad Autónoma y tamaño de población. Los estratos se formaron por el cruce de las 17 comunidades autónomas, con el tamaño de hábitat, dividido en 7 categorías: menor o igual a 2.000 habitantes; de 2.001 a 10.000; de 10.001 a 50.000; de 50.001 a 100.000; de 100.001 a 400.000; de 400.001 a 1.000.000, y más de 1.000.000 de habitantes. La selección de municipios será totalmente aleatoria guardando los parámetros de distribución muestral mencionada. e. Cuotas: Se cubrirán cuotas de sexo cruzado con 6 tramos de edad. f. Cuestionario: El cuestionario tendrá una duración de 15 minutos con preguntas cerradas. En algunas de ellas se contempla la opción de “Otras respuestas” en abierto. En consecuencia, el CIS, entidad legitimada para llevar a cabo los barómetros de opinión conforme a la normativa antes citada, determina la finalidad del tratamiento que encomienda a un tercero: llevar a cabo una de sus funciones (el barómetro extraordinario de abril) que el CIS no podía realizar por sí mismo; determina asimismo, los medios a utilizar: entrevista mediante sistema CATI, el ámbito, las fechas en las que debe realizarse el tratamiento, la distribución muestral, etc., respondiendo así a la definición de responsable contenido en el artículo 4.7 del RGPD. El aludido artículo 4 del RGPD define, asimismo, en su número octavo al “encargado del tratamiento” o “encargado” como “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento”. El artículo 28 del RGPD bajo el título “Encargado del tratamiento” dispone que: “1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiados, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. (…) 3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/20 obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
  6. a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;
  7. b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria;
  8. c)tomará todas las medidas necesarias de conformidad con el artículo 32;
  9. d)respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento;
  10. e)asistirá al responsable, teniendo cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
  11. f)ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado;
  12. g)a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros;
  13. h)pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. En relación con lo dispuesto en la letra
  14. h)del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros. 4. Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del responsable, se impondrán a este otro encargado, mediante contrato u otro acto jurídico establecido con arreglo al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/20 Derecho de la Unión o de los Estados miembros, las mismas obligaciones de protección de datos que las estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado a que se refiere el apartado 3, en particular la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con las disposiciones del presente Reglamento. Si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado. (…) 9. El contrato u otro acto jurídico a que se refieren los apartados 3 y 4 constará por escrito, inclusive en formato electrónico.” De la documentación obrante en el expediente se desprende que el CIS, dada la situación de pandemia y la imposibilidad de llevar a cabo por sí mismo ante la ausencia de medios técnicos el estudio a que se refiere el presente procedimiento, determinó acudir a la contratación externa solicitando 4 propuestas, seleccionando la que consideró más ventajosa, teniendo en cuenta para ello entre otras razones, la adhesión de la empresa que la había facilitado al Código de Conducta para el tratamiento de datos de carácter personal por organizaciones de Investigación de Mercado, Social, de la Opinión y del Análisis de Datos, aprobado por el Comité de Supervisión y Seguimiento del CODIM, Código tipo inscrito en la Agencia Española de Protección de Datos. La contratación se llevó a cabo por el procedimiento de emergencia, que permite la contratación verbal, formalizándose el contrato con fecha 11 de mayo de 2020. El documento de formalización no contiene las estipulaciones exigidas por el artículo 28.3 del RGPD, ni se ha aportado ningún otro documento con carácter vinculante para el encargado respecto del responsable que las contenga. Alega el CIS que se ha acogido a los procedimientos excepcionales que le permitía el marco jurídico, llevando a cabo la tramitación del contrato a través del artículo 120 de la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público y de acuerdo con el artículo 37.1 de la misma Ley, el cual establece que se puede llevar a cabo una contratación no sujeta al carácter formal habitual de los contratos públicos, pudiendo incluso hacerse una contratación verbal. Alega asimismo que entendía que, en esta situación excepcional, al no tener obligación ni siquiera de formalizar un contrato por escrito, no tenía la obligación de introducir las cláusulas de protección de datos que habitualmente figuran en todos Pliegos de cláusulas administrativas (PCAP), ya que ni siquiera se elaboran tales pliegos. De haberse llevado a cabo una tramitación habitual, se hubiera elaborado dicho Pliego, y se hubieran incluido las cláusulas pertinentes, ya que en los documentos de formalización no es habitual incluir dichas cláusulas. Afirma, asimismo, que la no inclusión de la cláusula en el contrato podría considerarse un error de forma. Esta Agencia no puede compartir tales argumentos. El RGPD no regula en su artículo 28, ninguna excepción a la obligación de formalizar por escrito el contrato o acto jurídico vinculante para el encargado respecto del responsable. Por otra parte, de la misma forma en que se señala que tales cláusulas figuran en todos los pliegos de cláusulas administrativas, y que si se hubiera llevado a cabo una tramitación habitual C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/20 figurarían en el mismo, ya que en los documentos de formalización no es habitual incluir dichas cláusulas, podrían haberse hecho figurar las especificaciones exigidas por el artículo 28.3 del RGPD en cualquier otro documento, siempre que el mismo tuviera carácter vinculante. Tampoco cabe considerar la ausencia del contrato a que se refiere el artículo 28.3 del RGPD como un mero error de forma. El artículo 28.9 de la misma norma impone la obligación de celebrar un contrato escrito, cuando no esté en vigor ningún otro acto jurídico vinculante, por lo que su ausencia constituye una infracción del RGPD. En este sentido la LOPDGDD en su artículo 73 titulado, “Infracciones consideradas graves”, considera como tal en su letra
  15. k)la siguiente: “
  16. k)Encargar el tratamiento de datos a un tercero sin la previa formalización de un contrato u otro acto jurídico escrito con el contenido exigido por el artículo 28.3 del Reglamento (UE) 2016/679”. Alega el CIS que la empresa adjudicataria ofrecía todas las garantías de calidad y especialmente, de protección de datos de carácter personal, ya que esta empresa cumple con el Código de Conducta CODIM (Código de Conducta para el tratamiento de datos de carácter personal por organizaciones de Investigación de Mercado, Social, de la Opinión y de Análisis de Datos) aprobado por Resolución de la Directora de la Agencia Española de Protección de Datos. Considera que no se vieron vulnerados los derechos de los ciudadanos puesto que la elección de la empresa adjudicataria, adscrita al citado código, aportaba garantías y seguridad sobre el cumplimiento estricto de la normativa de protección de datos de carácter personal, que es precisamente la finalidad de todas las obligaciones formales que recoge la normativa. Esta Agencia tampoco puede compartir dicha alegación. La adhesión a dicho código, publicado por la AEPD en su página web https://www.aepd.es/es/documento/ctorganizaciones-investigacion-mercados.pdf, con independencia que el mismo se haya aprobado conforme a la normativa de protección de datos anterior al RGPD, sin que se haya producido aún su conversión al código de conducta regulado en el RGPD en los términos exigibles conforme al mismo, no excluye la obligación de formalizar el correspondiente contrato o acto jurídico que vincule al encargado respecto del responsable, tal y como requiere el artículo 28.3 de dicha norma. En este sentido, dispone el artículo 28.5 del RGPD que “La adhesión del encargado del tratamiento a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá utilizarse como elemento para demostrar la existencia de las garantías suficientes a que se refieren los apartados 1 y 4 del presente artículo.” Dicho precepto no permite considerar que la adhesión a un código de conducta exima al responsable de dar cumplimiento a las obligaciones previstas en número 3 del artículo 28, ya que se refiere expresamente a las garantías referidas en los números 1 y 4 del aludido artículo 28. Debe aquí tenerse en cuenta, que el RGPD no solamente exige la formalización de un contrato con las especificaciones del artículo 28.3, sino que exige, en su artículo 28.1, que el responsable elija un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con los requisitos del RGPD y garantice la protección de los derechos de los interesados. Es en este sentido en el que resulta valorable la adhesión a un código de conducta, código que, por otra parte, debe haber sido aprobado conforme a lo previsto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/20 en el artículo 40 del RGPD, pero tal adhesión en ningún caso suple la celebración del contrato a que se refiere el artículo 28.3. En cuanto a que el CIS ha adoptado medidas específicas para verificar la inclusión de las cláusulas de protección de datos en todos sus contratos, adjuntando como ejemplo los anexos incluidos en contratos de naturaleza similar, no justifica el que en el caso objeto del presente expediente no se diera cumplimiento a la obligación prevista en el artículo 28.3. De la misma manera, en lo que respecta a la adaptación de sus actuaciones a la normativa de protección de datos manteniendo actualizadas todas sus actividades de tratamiento en el Registro de Actividades de Tratamiento y llevando a cabo los correspondientes análisis de riesgos, tampoco justifican tal incumplimiento. En todo caso todas estas actuaciones alegadas por el CIS no son objeto del presente procedimiento, por lo que no procede pronunciarse sobre si las mismas dan debido cumplimiento a lo establecido en el RGPD y la LOPDGDD. . En consecuencia, de conformidad con las evidencias expuestas, los citados hechos suponen una vulneración de lo dispuesto en el artículo 28.3 del RGPD, tipificada como infracción en el apartado 4.
  17. a)del artículo 83 del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”, establece lo siguiente: “4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  18. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;” A efectos del plazo de prescripción, la LOPDGDD en su artículo 73 k), “Infracciones consideradas graves”, señala lo siguiente: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  19. k)Encargar el tratamiento de datos a un tercero sin la previa formalización de un contrato u otro acto jurídico escrito con el contenido exigido por el artículo 28.3 del Reglamento (UE) 2016/679”. III Para el caso de que concurra una infracción de los preceptos del RGPD, entre los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los siguientes: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/20 (…)
  20. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento”. (corrección de errores del Reglamento (UE) 2016/679, DOUE número 74, de 4 de marzo de 2021 (…)
  21. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; (…)
  22. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;”. Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en la letra
  23. d)anterior es compatible con la sanción consistente en multa administrativa o apercibimiento. IV No obstante lo señalado en los Fundamentos de Derecho anteriores, el artículo 83.7 del RGPD dispone que, sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro. La LOPDGDD en su artículo 77, Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento, establece lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
  24. a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
  25. b)Los órganos jurisdiccionales.
  26. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
  27. d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
  28. e)Las autoridades administrativas independientes.
  29. f)El Banco de España.
  30. g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
  31. h)Las fundaciones del sector público. I) Las Universidades Públicas.
  32. j)Los consorcios.
  33. k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/20 alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica”. No cabe atender lo solicitado por el CIS en el sentido de que se valore la retirada de la sanción propuesta, toda vez que ha quedado constatado el incumplimiento de lo previsto en el artículo 28.3 del RGPD en la contratación del barómetro especial de opinión abril 2020. Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad CENTRO DE INVESTIGACIONES SOCIOLÓGICAS, con NIF Q2802464D, por la infracción del artículo 28.3 del RGPD tipificada en el artículo 83.4 del RGPD, una sanción de apercibimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/20 SEGUNDO: NOTIFICAR la presente resolución a la entidad CENTRO DE INVESTIGACIONES SOCIOLÓGICAS. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  34. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-231221 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.